PHP2Shell expliqué : qui doit corriger votre site web, et comment

Le 21 octobre 2026, une faille de sécurité critique a été révélée dans PHP, le langage de programmation qui fait tourner environ trois sites web sur quatre. Des sites gouvernementaux aux Pays-Bas, en France et au Canada ont été mis hors ligne par précaution, et l’agence sud-coréenne KISA (Korea Internet & Security Agency) a publié des consignes d’intervention d’urgence. Le secteur de la sécurité l’appelle PHP2Shell.

La bonne nouvelle : les correctifs sont disponibles et la plupart des grands hébergeurs les ont déjà appliqués. Le hic, c’est que la personne qui corrige votre site dépend entièrement de la façon dont il est hébergé. Ce guide explique qui doit agir tout de suite, quels correctifs existent et comment les principaux hébergeurs ont réagi.

À retenir

• PHP2Shell désigne deux failles critiques d’exécution de code à distance dans PHP lui-même (CVSS 9.2), exploitables sans connexion.
• Mettre à jour WordPress ou les extensions ne suffit pas. C’est PHP qui doit être corrigé.
• Les versions corrigées sont 8.5.12, 8.4.27, 8.3.36 et 8.2.35 ou ultérieures. PHP 8.1 et les versions antérieures n’ont pas de version officielle.
• En hébergement mutualisé ou infogéré, votre hébergeur corrige PHP, mais vous devez le vérifier. Sur un VPS ou un serveur dédié, vous devez corriger vous-même et redémarrer PHP.
• Une troisième faille (CVE-2026-115560) dispose d’une solution temporaire : session.upload_progress.enabled = 0.

Qu’est-ce que PHP2Shell ?

PHP2Shell est le nom donné à deux vulnérabilités d’exécution de code à distance (RCE) découvertes dans le cœur de PHP.

• CVE-2026-109618 : une faille de corruption de mémoire déclenchée en abusant des situations de manque de mémoire
• CVE-2026-109619 : une faille qui réutilise un état global déjà libéré

Les deux sont notées CVSS 9.2 sur 10, et le plus inquiétant est qu’elles peuvent être exploitées sans connexion et sans compte. Les failles se trouvent dans le traitement des requêtes de PHP lui-même, et non dans WordPress ou une extension : l’attaque fonctionne donc avant même que le code de votre site ne s’exécute. Garder WordPress parfaitement à jour ne sert à rien si PHP n’est pas corrigé.

On estime que pratiquement toutes les versions de PHP depuis la 5.4 sont concernées et, selon W3Techs, environ 75 % des sites web dont le langage serveur est connu utilisent PHP. Les failles ont été découvertes par les sociétés de sécurité Calif et Wiz lors d’une analyse avec des modèles d’IA (OpenAI GPT-5.6 Sol et Google Gemini 4 Argon) et signalées à l’équipe PHP en août. Des détails ont fuité pendant la préparation des correctifs, ce qui a avancé la divulgation d’un jour. De vraies tentatives d’attaque ont commencé dès le jour de la divulgation, et Cloudflare en a signalé des millions. Aucune intrusion réussie à grande échelle n’a encore été confirmée, mais les outils d’attaque s’améliorent sans cesse : « on n’a pas encore été touchés » n’est donc pas une raison de se relâcher.

Puis, le 23 octobre, une troisième faille liée, CVE-2026-115560, a été révélée. Elle ne fonctionne qu’avec certaines combinaisons de configuration, c’est pourquoi l’équipe PHP recommande une solution temporaire plutôt qu’un correctif d’urgence. Les détails se trouvent plus bas, dans la section sur les correctifs.

Qui doit agir ?

Tout se résume à une question : « Qui gère PHP sur mon site ? » La réponse détermine ce que vous devez faire.

Quels correctifs sont disponibles ?

Correctifs officiels (21 octobre 2026)

Si vous gérez votre propre serveur, la méthode habituelle consiste à mettre à jour via les paquets de votre distribution. Ubuntu, Debian, AlmaLinux, Amazon Linux et d’autres ont déjà publié des paquets corrigés.

# Exemple pour Debian / Ubuntu
sudo apt update
sudo apt upgrade php8.3-fpm php8.3-cli php8.3-common
sudo systemctl restart php8.3-fpm

Sans redémarrage, le correctif n’est pas appliqué. Si vous mettez à jour les paquets sans redémarrer PHP-FPM ou Apache, l’ancien PHP encore chargé en mémoire continue de traiter les requêtes. Les consignes de la KISA mettent explicitement en garde sur ce point. Si vous utilisez le dépôt Remi sur un système de la famille CentOS, sachez que Remi n’avait pas de mise à jour le jour de la divulgation : envisagez les paquets par défaut de votre distribution ou une compilation manuelle.

PHP 8.1 ou antérieur : rétroportages

PHP 8.1, 8.0 et 7.4 ne sont plus pris en charge, il n’y a donc pas de version officielle corrigée. Vous avez malgré tout des options.

• L’équipe PHP a publié des correctifs minimaux du code source (rétroportages) pour 7.4, 8.0 et 8.1. Vous pouvez les appliquer si vous compilez PHP vous-même.
• Les paquets Ubuntu et Debian du dépôt d’Ondřej Surý incluent des rétroportages de la 5.6 à la 8.1.
• Certains hébergeurs (Hostinger, 20i, xCloud et d’autres) ont publié leurs propres versions corrigées, y compris pour les anciennes versions. Vérifiez d’abord si votre hébergeur propose un rétroportage.

Les rétroportages restent toutefois une solution provisoire. C’est le bon moment pour passer à PHP 8.3 ou ultérieur.

Troisième faille CVE-2026-115560 : solution temporaire en attendant le correctif

La troisième faille, révélée le 23 octobre, concerne la fonction de progression de l’envoi de session (session upload progress) de PHP. Elle est difficile à déclencher avec une configuration classique, il n’y a donc pas de correctif d’urgence. La correction arrivera dans la prochaine version régulière. D’ici là, la solution officielle tient en un seul réglage :

; Ajouter dans php.ini ou dans la configuration du pool PHP-FPM, puis redémarrer PHP
session.upload_progress.enabled = 0

À moins que votre site n’affiche une barre de progression d’envoi, vous ne perdez presque rien. Comme le montre le tableau des hébergeurs ci-dessous, les grands hébergeurs ont déjà désactivé ce réglage au niveau du serveur.

Mesures temporaires avant le correctif (pas une solution complète)

• Désactiver session.upload_progress : comme ci-dessus. Cela bloque une voie d’attaque connue de CVE-2026-109619.
• Règles WAF de Cloudflare : Cloudflare a appliqué des règles d’urgence à toutes ses offres, y compris l’offre gratuite, juste avant la divulgation. Mais Cloudflare précise lui-même qu’il s’agit d’une « protection temporaire, qui ne remplace pas le correctif », et des tentatives de contournement ont déjà été observées.
• Règles de pare-feu de votre hébergeur : des outils comme ModSecurity bloquent les schémas d’attaque en amont du serveur. Ils font gagner du temps mais ne règlent pas le problème de fond.

La position officielle de l’équipe PHP est claire : « Il n’existe pas de mesure d’atténuation complète. La mise à jour est la seule option sûre. »

Comment les principaux hébergeurs ont réagi

Heureusement, les hébergeurs connus ont réagi vite. Voici la situation de chaque entreprise, d’après ses annonces officielles. Le point commun : bloquer d’abord les attaques avec des règles de pare-feu et des réglages, puis déployer le correctif sur tous les serveurs dès sa sortie.

La situation de chaque hébergeur évolue en permanence : si le vôtre ne figure pas dans la liste ou si vous avez un doute, consultez directement sa page d’état et ses annonces. Autrement dit : si votre hébergeur reste silencieux, sans la moindre annonce, c’est déjà un signal d’alerte.

Comment vérifier votre site (3 minutes)

1. Vérifiez votre version de PHP : dans WordPress, allez dans Outils → Santé du site → Infos → Serveur et regardez la version de PHP.
2. Comparez-la aux versions corrigées : 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 ou ultérieure signifie que vous êtes corrigé.
3. Ne concluez pas trop vite qu’un numéro plus bas signifie que vous êtes exposé : certains hébergeurs, comme Hostinger, gardent le numéro de version et corrigent la compilation. Dans ce cas, le critère est que la Build Date dans le PHP Info de votre panneau d’hébergement soit du 21 octobre 2026 ou plus récente.
4. Sous PHP 8.1 ou antérieur : consultez les annonces de votre hébergeur ou demandez-lui s’il propose un rétroportage. Sinon, planifiez une mise à niveau.
5. Sur un VPS ou un serveur dédié : lancez php -v dans le terminal et vérifiez qu’il correspond au PHP réellement utilisé par votre serveur web (selon phpinfo). Il est courant que plusieurs versions de PHP cohabitent sur un même serveur.

Corriger ne suffit pas : les vérifications après correctif

Un correctif ne bloque que les attaques futures. Si votre site a été compromis avant la correction, le correctif ne l’annule pas. Comme les détails ont fuité avant le correctif et que les attaques ont commencé avant la divulgation, la KISA recommande ce qui suit :

• Analysez les journaux : recherchez des requêtes suspectes dans les journaux du serveur web et de PHP, y compris pour la période antérieure au correctif.
• Recherchez des web shells : vérifiez la présence de fichiers PHP récemment créés ou modifiés, de comptes administrateur inconnus ou de tâches cron inhabituelles.
• Changez les identifiants : sur les serveurs exposés, changez les mots de passe de la base de données, les clés API et les mots de passe administrateur.
• Sécurisez vos sauvegardes : conservez hors site des sauvegardes testées et restaurables, d’avant et d’après le correctif.
• Si vous trouvez des signes d’intrusion, ne redémarrez pas le serveur (vous perdriez les preuves en mémoire). Coupez l’accès réseau et signalez l’incident à un professionnel.

Liste de contrôle finale

• Vérifiez la version de PHP de votre site et qui gère PHP
• Confirmez que vous êtes sur une version corrigée (8.5.12 / 8.4.27 / 8.3.36 / 8.2.35) ou que la date de compilation est du 21 octobre ou plus récente
• Sur un VPS ou un serveur dédié, mettez PHP à jour vous-même et redémarrez toujours le service PHP
• Sous PHP 8.1 ou antérieur, vérifiez l’existence d’un rétroportage et planifiez une mise à niveau vers la 8.3 ou ultérieure
• Désactivez session.upload_progress pour la troisième faille (ou vérifiez que votre hébergeur l’a fait)
• Analysez les journaux et recherchez des web shells datant d’avant le correctif
• Incluez dans votre inventaire les sites de test, de préproduction et d’événements oubliés

Questions fréquentes

Mettre à jour WordPress me protège-t-il de PHP2Shell ?

Non. Les failles se trouvent dans PHP lui-même, pas dans WordPress ni dans les extensions. Seule une version de PHP corrigée protège votre site.

Je suis en hébergement mutualisé. Dois-je faire quelque chose ?

En général, votre hébergeur corrige PHP pour vous, mais vérifiez-le. Assurez-vous que votre version de PHP est corrigée ou que la date de compilation de PHP est du 21 octobre 2026 ou plus récente.

Cloudflare suffit-il à protéger mon site ?

Non. Les règles WAF de Cloudflare sont une protection temporaire, et des tentatives de contournement ont déjà été observées. Votre serveur d’origine doit toujours recevoir le correctif PHP.

Les plateformes qui n’utilisent pas PHP, comme Wix, sont-elles concernées ?

Non. PHP2Shell est une faille de PHP côté serveur : les plateformes qui ne tournent pas sous PHP, comme Wix, et les sites statiques ne sont pas concernés.

Besoin d’aide ?

Si vous gérez plusieurs sites ou si vous n’êtes pas sûr que votre hébergeur a appliqué le correctif, contactez We Design Orange. Nous vous aidons de bout en bout : vérification de la version et de la compilation de PHP de chaque site, correction de votre VPS, recherche de traces d’intrusion et tests de votre site après la mise à niveau de PHP.

Cet article résume les informations publiques disponibles au 23 octobre 2026. Il s’agit d’informations techniques, et non d’un diagnostic de sécurité ou d’un conseil juridique. La situation des hébergeurs repose sur leurs annonces officielles et peut évoluer. En cas de suspicion d’intrusion, contactez une société de sécurité ou l’équipe nationale de réponse aux incidents de sécurité (CERT) de votre pays.